Articolo a cura di: Redazione - Studio Legale Calvello

Il GDPR non riguarda soltanto database, software, e-mail e servizi cloud. Anche fascicoli del personale, contratti, schede clienti, copie di documenti di identità, certificazioni, moduli e altri documenti cartacei contenenti dati personali possono rientrare pienamente nella disciplina sulla protezione dei dati. Il problema, nelle aziende, emerge spesso quando archivi formatisi nel tempo risultano accessibili a persone che non dovrebbero consultarli, vengono conservati senza criteri definiti oppure contengono documentazione che non è più necessario mantenere.

Conservare correttamente un archivio cartaceo richiede quindi una valutazione che tenga insieme finalità del trattamento, tempi di conservazione, categorie di dati, persone autorizzate all’accesso, caratteristiche dei locali e modalità di distruzione. Non esiste una regola secondo cui ogni documento debba essere necessariamente custodito in cassaforte o in un armadio blindato: il GDPR richiede invece misure tecniche e organizzative adeguate al rischio. Per questo un archivio HR contenente dati particolari dei dipendenti può richiedere cautele diverse rispetto a un archivio di ordinaria corrispondenza commerciale.

Quando il GDPR si applica ai documenti e agli archivi cartacei dell’azienda

Il fatto che un’informazione sia conservata su carta non la sottrae alla normativa privacy. Il Regolamento (UE) 2016/679 si applica anche ai trattamenti non automatizzati quando i dati personali sono contenuti, o destinati a essere contenuti, in un archivio strutturato secondo criteri che consentono di reperire le informazioni relative agli interessati. Un insieme organizzato di fascicoli del personale, ad esempio, non diventa estraneo al GDPR perché è custodito in faldoni anziché in un gestionale.

La questione interessa molte più aree aziendali di quanto possa apparire. Nell’ufficio del personale possono essere presenti contratti di lavoro, contestazioni disciplinari, richieste dei dipendenti e documentazione contenente categorie particolari di dati; nell’amministrazione possono trovarsi documenti riferibili a clienti, fornitori e persone fisiche; negli uffici commerciali possono essere conservati moduli, schede e corrispondenza. Prima di stabilire come proteggere questi documenti occorre quindi capire quali dati siano effettivamente presenti, perché vengano conservati e chi abbia necessità di accedervi.

È un passaggio che dovrebbe trovare coerenza con l’organizzazione complessiva della compliance. La ricognizione degli archivi cartacei può infatti far emergere trattamenti non correttamente considerati nel registro delle attività di trattamento, procedure interne non aggiornate oppure istruzioni insufficienti alle persone autorizzate. Per questo la verifica degli archivi può essere inserita nel più ampio processo di adeguamento GDPR aziendale e nell’aggiornamento della documentazione privacy dell’impresa.

Un errore frequente consiste nel concentrare le misure di sicurezza sui sistemi informatici lasciando in secondo piano ciò che accade negli uffici: fascicoli su scaffali aperti, documenti lasciati sulle scrivanie, stampe dimenticate nelle stampanti condivise, faldoni trasferiti da un reparto all’altro senza una procedura o archivi ai quali può accedere personale che non ne ha necessità. La protezione deve invece accompagnare il documento durante il suo ciclo di vita, dalla raccolta fino alla cancellazione o distruzione quando ne ricorrono i presupposti.

Come conservare i documenti cartacei nel rispetto del GDPR

Il GDPR non prescrive un unico modello materiale di archivio valido per tutte le imprese. L’art. 32 impone al titolare e, quando pertinente, al responsabile del trattamento di adottare misure tecniche e organizzative adeguate al rischio, considerando natura, ambito di applicazione, contesto e finalità del trattamento. Applicato agli archivi fisici, questo principio significa che le modalità di custodia devono essere proporzionate ai dati conservati e alle conseguenze di un eventuale accesso, perdita, sottrazione o divulgazione non autorizzata.

Per un archivio cartaceo aziendale occorre anzitutto disciplinare l’accesso. I documenti non dovrebbero essere liberamente consultabili da chiunque lavori nei locali: l’accessibilità deve essere coerente con mansioni, autorizzazioni e necessità operative. In concreto possono risultare appropriate, secondo il rischio, misure quali locali ad accesso controllato, armadi dotati di serratura, gestione delle chiavi, separazione dei fascicoli maggiormente riservati e procedure per prelievo, consultazione e restituzione della documentazione. Per gli archivi più delicati può essere necessario adottare cautele ulteriori. La misura corretta dipende quindi dal trattamento e non dalla semplice circostanza che il supporto sia cartaceo.

La custodia fisica è soltanto una parte del problema. L’impresa deve stabilire anche per quanto tempo ciascuna categoria di documenti debba essere mantenuta. Il principio di limitazione della conservazione impedisce di trasformare l’archivio in un deposito indefinito di informazioni personali non più necessarie, ferma restando l’esistenza di obblighi legali o di altre esigenze che possono giustificarne la conservazione. I criteri devono essere coordinati con la disciplina dei tempi di conservazione dei dati personali e, per la documentazione amministrativa interessata da specifici obblighi, con le regole applicabili alla conservazione dei dati contabili e fiscali.

Anche l’eliminazione deve essere governata. Un documento contenente dati personali non dovrebbe semplicemente passare da un archivio protetto a un cestino accessibile: quando la conservazione non è più giustificata, la distruzione deve avvenire con modalità compatibili con la natura delle informazioni e tali da impedirne una successiva ricostruzione o consultazione indebita. Se l’attività di archiviazione o distruzione viene affidata a un soggetto esterno che tratta dati personali per conto dell’azienda, occorre inoltre verificare correttamente il rapporto tra titolare e fornitore e, quando ne ricorrono i presupposti, disciplinarlo ai sensi dell’art. 28 GDPR.

La gestione dell’archivio deve infine essere conosciuta da chi opera concretamente sui documenti. Istruzioni agli autorizzati e formazione servono a tradurre le regole organizzative in comportamenti quotidiani: dove riporre un fascicolo dopo l’utilizzo, chi può estrarlo, come trasportarlo tra sedi o reparti, cosa fare con una stampa contenente dati riservati e come segnalare immediatamente uno smarrimento o un accesso non autorizzato. È proprio nell’attività ordinaria che una misura formalmente corretta può perdere efficacia se non viene applicata in modo coerente.

Accessi non autorizzati, perdita dei fascicoli e altri rischi nella gestione dell’archivio cartaceo

La corretta conservazione non serve soltanto a mantenere ordinati i documenti. Deve ridurre il rischio che i dati personali siano consultati da soggetti non autorizzati, sottratti, persi, distrutti accidentalmente o comunicati a persone diverse da quelle legittimate a riceverli. Il problema può riguardare un intero archivio, ma anche un singolo fascicolo lasciato in una sala riunioni, una busta consegnata al dipendente sbagliato o una stampa contenente informazioni riservate dimenticata su una stampante condivisa.

Particolare attenzione richiedono gli archivi del personale. La presenza di certificazioni mediche, documentazione relativa ad assenze, provvedimenti disciplinari o altre informazioni riservate può rendere particolarmente rilevanti le conseguenze di un accesso indebito. L’azienda deve quindi verificare che le persone autorizzate al trattamento ricevano istruzioni coerenti con le rispettive funzioni e che l’organizzazione concreta degli uffici non renda inutili le limitazioni previste sulla carta. Un fascicolo destinato esclusivamente all’HR, per esempio, non dovrebbe essere materialmente disponibile a personale appartenente ad altri reparti soltanto perché l’armadio che lo contiene si trova in un locale comune.

Occorre considerare anche ciò che avviene fuori dall’archivio. Un documento può essere correttamente custodito per anni e diventare vulnerabile nel momento in cui viene estratto, fotocopiato, portato in un’altra sede o utilizzato durante il lavoro da remoto. Le procedure aziendali dovrebbero quindi disciplinare anche queste fasi, evitando che copie e stampe si moltiplichino senza necessità e prevedendo modalità adeguate per la restituzione o la distruzione della documentazione una volta terminato l’utilizzo.

Se un fascicolo viene smarrito, sottratto o consultato da una persona non autorizzata, non è sufficiente recuperarlo e considerare chiuso l’incidente. L’azienda deve verificare quali dati fossero coinvolti, quali soggetti interessati riguardassero, chi possa avervi avuto accesso e quali conseguenze possano derivarne. Anche un incidente che coinvolge esclusivamente documentazione cartacea può infatti costituire una violazione di dati personali, cioè un data breach.

La qualificazione dell’evento comporta una valutazione secondo gli artt. 33 e 34 GDPR. Non ogni violazione determina automaticamente una notifica al Garante per la protezione dei dati personali né una comunicazione agli interessati: occorre valutare il rischio per i diritti e le libertà delle persone fisiche e, per la comunicazione agli interessati, l’eventuale rischio elevato. Quando ricorrono i presupposti per la notifica, il titolare deve procedere senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. Anche le violazioni non soggette a notifica devono essere documentate secondo quanto previsto dall’art. 33 GDPR.

Questa analisi dovrebbe essere effettuata tempestivamente e documentata, soprattutto quando l’incidente coinvolge dati sanitari, informazioni economiche, documenti di identità o una quantità rilevante di fascicoli. La circostanza che la violazione sia avvenuta attraverso supporti fisici anziché informatici non modifica la necessità di ricostruire l’accaduto e valutarne correttamente le conseguenze.

La verifica periodica degli archivi consente anche di individuare criticità prima che si trasformino in incidenti. In un audit privacy sugli archivi cartacei possono essere esaminati i documenti effettivamente conservati, le finalità che ne giustificano il mantenimento, i tempi di conservazione, le autorizzazioni, la sicurezza dei locali, le modalità di circolazione interna e le procedure di eliminazione. Il controllo dovrebbe essere coordinato con il registro delle attività di trattamento, perché quanto dichiarato nella documentazione privacy deve corrispondere, per quanto pertinente, al modo in cui i dati vengono realmente gestiti negli uffici.

Un caso pratico: fascicoli del personale conservati in un archivio accessibile a più uffici

Consideriamo il caso realistico e anonimizzato di un’azienda che, nel corso degli anni, ha accumulato numerosi fascicoli cartacei relativi ai dipendenti. Una parte della documentazione era custodita in armadi dell’ufficio amministrativo e comprendeva anche informazioni che richiedevano una particolare riservatezza. L’accesso ai locali non era limitato esclusivamente al personale che aveva necessità di consultare quei fascicoli e non esisteva una procedura sufficientemente precisa per stabilire chi potesse prelevare la documentazione, per quanto tempo e con quali modalità dovesse essere restituita.

La valutazione non si è limitata alla scelta di armadi più sicuri. È stato necessario ricostruire quali documenti fossero effettivamente presenti, distinguere quelli ancora necessari da quelli per i quali occorreva verificare la permanenza di una valida ragione di conservazione, individuare le funzioni aziendali legittimate all’accesso e riorganizzare le modalità di custodia. L’aspetto che ha richiesto maggiore attenzione è stato il coordinamento tra sicurezza fisica dell’archivio e organizzazione interna: proteggere i fascicoli significa anche stabilire chi può consultarli e rendere concretamente effettiva quella limitazione.

La gestione è stata quindi riorganizzata intervenendo sui criteri di accesso, sulle istruzioni al personale e sulle modalità di conservazione ed eliminazione della documentazione. Un’impostazione di questo tipo consente di affrontare il problema dell’archivio cartaceo come parte della gestione complessiva dei trattamenti aziendali, anziché ridurlo alla sola collocazione fisica dei faldoni.

FAQ sulla conservazione dei documenti cartacei e sulla privacy aziendale

Il GDPR si applica anche agli archivi cartacei?

Sì, quando ricorrono i presupposti previsti dal Regolamento. Il GDPR si applica al trattamento non automatizzato di dati personali contenuti o destinati a essere contenuti in un archivio. Un archivio aziendale organizzato in modo da consentire il reperimento dei fascicoli secondo criteri determinati può quindi rientrare nell’ambito di applicazione della normativa anche se è interamente cartaceo.

I documenti con dati personali devono essere sempre conservati in un armadio chiuso a chiave?

Il GDPR non stabilisce un obbligo generalizzato di utilizzare armadi chiusi a chiave per qualsiasi documento cartaceo. Le misure devono essere adeguate al rischio. La serratura può essere una misura appropriata, e in determinate situazioni particolarmente opportuna, ma la valutazione deve considerare il tipo di dati, i soggetti che possono accedere ai locali, le modalità di utilizzo dei documenti e le possibili conseguenze di un accesso non autorizzato. Per fascicoli contenenti dati particolarmente riservati possono essere necessarie cautele maggiori rispetto alla normale documentazione amministrativa.

Per quanto tempo l’azienda può conservare i documenti cartacei contenenti dati personali?

Non esiste un unico termine GDPR applicabile a tutti i documenti. La durata dipende dalla finalità del trattamento, dagli eventuali obblighi normativi di conservazione e dalle altre basi che possono giustificare il mantenimento dei dati. L’azienda dovrebbe quindi definire tempi o criteri di conservazione per le diverse categorie documentali, evitando di mantenere indefinitamente fascicoli soltanto perché esiste spazio fisico per archiviarli.

Come devono essere distrutti i documenti cartacei contenenti dati personali?

La modalità deve impedire che le informazioni eliminate rimangano concretamente accessibili o possano essere agevolmente ricostruite. Gettare documenti integri contenenti dati personali in un normale cestino può essere incompatibile con questo obiettivo. A seconda della natura della documentazione possono essere utilizzati sistemi di distruzione adeguati oppure servizi esterni specializzati; in quest’ultimo caso deve essere valutato anche il corretto inquadramento privacy del fornitore e, quando ne ricorrono i presupposti, la disciplina prevista dall’art. 28 GDPR.

Lo smarrimento di un fascicolo cartaceo può essere un data breach?

Sì. La perdita, sottrazione, distruzione accidentale, divulgazione o accesso non autorizzato a dati personali può costituire una violazione dei dati anche quando le informazioni sono conservate esclusivamente su carta. L’azienda deve ricostruire l’evento, documentarlo e valutarne il rischio. Soltanto dopo questa analisi è possibile stabilire se ricorrano anche i presupposti per la notifica al Garante e, nei casi previsti, per la comunicazione agli interessati.

Verificare se gli archivi cartacei della vostra azienda rispettano il GDPR

Archivi formatisi nel corso degli anni, fascicoli del personale accessibili a più uffici, documenti riservati conservati senza criteri definiti o procedure di distruzione mai formalizzate possono richiedere una verifica specifica. Non è sufficiente applicare una soluzione standard: occorre considerare quali dati vengono trattati, le ragioni della loro conservazione, i tempi applicabili, le persone autorizzate all’accesso e le misure già adottate dall’impresa.

Noi assistiamo le aziende nella verifica e nell’organizzazione della gestione dei documenti cartacei, coordinandola con gli altri adempimenti privacy e con la documentazione GDPR esistente. L’intervento può riguardare la ricognizione degli archivi, le procedure di accesso e custodia, i tempi di conservazione, le istruzioni al personale, i rapporti con eventuali fornitori esterni e la gestione di incidenti già verificatisi.

Se nella vostra azienda sono presenti archivi cartacei da verificare, documentazione accumulata nel tempo o una specifica criticità nella custodia dei dati personali, potete richiedere una valutazione in merito al GDPR e alla privacy aziendale. Esamineremo la situazione concreta per individuare gli obblighi applicabili e gli interventi organizzativi o giuridici da valutare.